検出

HTTP 動詞の改ざん

medium Web App Scanning プラグイン ID 113211

Language:

概要

HTTP 動詞の改ざん

説明

HTTP 動詞の改ざんは、HTTP 動詞に基づく認証または制御システムをバイパスする攻撃です。Web サーバーの認証メカニズムでは、アクセス制御で動詞ベースの認証が使用されることがあります。このようなセキュリティメカニズムには、特定の HTTP メソッドによるリクエストのアクセスコントロールルールが含まれます。標準の GET および POST リクエスト以外のリクエストメソッドを含む HTTP 仕様により、標準に準拠した Web サーバーが、開発者が予期しない方法でこれらの代替メソッドに応答することがあります。このため、アプリケーションが GET リクエストのみを制限する場合でも、POST、PUT、PATCH またはその他のメソッドを使用してページにアクセスできる場合があります。

ソリューション

HTTP 動詞のブロックリストを使用する代わりに、すべての HTTP 動詞をブロックします。

参考資料

https://owasp.org/www-project-web-security-testing-guide/v41/4-Web_Application_Security_Testing/07-Input_Validation_Testing/03-Testing_for_HTTP_Verb_Tampering

プラグインの詳細

深刻度: Medium

ID: 113211

タイプ: remote

ファミリー: Web Applications

公開日: 2022/3/31

更新日: 2024/6/10

スキャン テンプレート: api, basic, full, pci, scan

リスク情報

VPR

リスクファクター: Low

スコア: 2.9

CVSS v2

リスクファクター: Medium

基本値: 4

ベクトル: CVSS2#AV:N/AC:L/Au:S/C:P/I:N/A:N

CVSS スコアのソース: Tenable

CVSS v3

リスクファクター: Medium

基本値: 4.3

ベクトル: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

CVSS スコアのソース: Tenable

脆弱性情報

エクスプロイトの容易さ: Exploits are available

参照情報